Sicherheitsforscher haben einen Weg gefunden, die verschlüsselten „inneren Gedanken“ aller großen KI-Reasoning-Modelle zu lesen – und dabei 62 aktive API-Schlüssel und 33 Passwörter aufgedeckt, die in Sitzungsprotokollen verborgen waren. Diese Protokolle hatten Entwickler öffentlich online geteilt, ohne zu wissen, was darin enthalten war.

Im Kern der Ergebnisse steht die Erkenntnis, dass Anthropic, OpenAI und Google alle einen einzigen globalen Verschlüsselungsschlüssel für KI-Reasoning-Tokens verwenden. Durch das Entschlüsseln von 315.320 Reasoning-Blöcken, die aus öffentlichen GitHub- und Hugging-Face-Repositorys extrahiert worden waren, ermittelten die Forscher 182 Zugangsdaten, darunter 62 aktive API-Schlüssel, 33 Passwörter und 30 persönliche E-Mail-Adressen.

„Durch das Entschlüsseln von 315.320 aus öffentlichen Repositorys extrahierten Reasoning-Blöcken haben wir 367 Artefakte mit personenbezogenen Daten (PII) und 182 Zugangsdaten wiederhergestellt“, schrieben die Forscher in ihrem Paper, das am 10. August von einem Team des MATS Research, des ELLIS Institute Tübingen, des Max-Planck-Instituts für Intelligente Systeme und des Sicherheitsunternehmens Snyk eingereicht wurde.

Wie der verborgene Notizzettel funktioniert

Die Forschung richtet sich auf eine bestimmte Klasse von KI: Reasoning-Modelle. Anstatt sofort zu antworten, beginnen diese Modelle mit einer internen Gedankenkette – einem schrittweisen Notizzettel, auf dem die KI ein Problem durcharbeitet, bevor sie die Antwort zeigt – und liefern erst dann eine endgültige Antwort. Diese Modelle stehen heute im Mittelpunkt von Coding-Assistenten und autonomen Agenten, die Dateien lesen, Befehle ausführen und echte Nutzerdaten verarbeiten. Auf diesem Weg können Zugangsdaten und persönliche Details durch den privaten Notizzettel gelangen, selbst wenn sie nie in der sichtbaren Antwort erscheinen.

Anthropic, OpenAI und Google verschlüsseln diesen verborgenen Notizzettel. Verschlüsselung – das Umwandeln von Daten in einen unlesbaren Code – soll das geistige Eigentum des Unternehmens schützen und sensible Zwischenschritte der Argumentation von den Nutzern fernhalten. Der verschlüsselte Block wird bei jeder nachfolgenden Nachricht an die Server des Anbieters zurückübermittelt, wodurch das Gespräch aufrechterhalten wird, ohne dass auf Seiten des Unternehmens etwas gespeichert wird. Die Labore überwachen diese verborgene Argumentation zudem selbst als Sicherheitskontrolle und beobachten die Gedankenkette auf Anzeichen dafür, dass ein Modell plant, Regeln zu brechen, bevor überhaupt eine Antwort die Nutzer erreicht.

Ein Schlüssel, sie alle zu beherrschen

Die Schwachstelle ist architektonischer Natur. Anstatt jeden verschlüsselten Reasoning-Block an einen bestimmten Nutzer, eine bestimmte Sitzung oder ein bestimmtes Modell zu binden, verwenden alle drei Anbieter einen einzigen, unternehmensweiten Verschlüsselungsschlüssel für ihr gesamtes Ökosystem.

„Diese verschlüsselten Blöcke sind vollständig kompatibel und innerhalb des Ökosystems eines Anbieters über verschiedene Sitzungen, Nutzer und sogar verschiedene Modelle hinweg austauschbar“, schrieben die Forscher.

Das bedeutet, dass ein Block verschlüsselter Argumentation von Claude Opus 4.8, dem Flaggschiff-Modell von Anthropic, ohne Verstoß gegen die Regeln von Anthropic in Claude Haiku 4.5 eingeschleust werden kann – ein billigeres und weniger geschütztes Geschwistermodell. Haiku fehlt das Anti-Destillations-Alignment – ein Sicherheitstraining, das eigens entwickelt wurde, um zu verhindern, dass ein Modell seine eigene Argumentation auf Anweisung wiedergibt –, über das Opus verfügt.

Weist man Haiku an, den verschlüsselten Block wortwörtlich vorzulesen, tut es genau das.

„Durch das Einschleusen einer verschlüsselten Reasoning-Spur eines bestimmten Modells in ein schwächeres und weniger abgesichertes Modell desselben Anbieters zwingen wir es, die Spur wortwörtlich im Klartext zu dekodieren und auszugeben, ohne das leistungsfähigere Modell jemals direkt zu jailbreaken“, heißt es in dem Paper.

„Die modellübergreifende Portabilität bedeutet, dass Haiku 4.5 die Gedanken von Opus 4.8 lesen kann“, schrieb der leitende Forscher Alexander Panfilov auf X.

Der gleiche Angriff ließ sich in der GPT-5.6-Familie von OpenAI und in Googles Gemini-Modellpalette reproduzieren. Ein besonderer Zugriff war nicht erforderlich – der Standard-API-Zugriff, also die Verbindung, über die Entwickler Anwendungen auf Basis von KI-Modellen erstellen, genügte für die Ausführung.

We can finally talk about it: We found a way to extract hidden reasoning of frontier models using a vulnerability in the APIs of every frontier AI company. We verified that our reasoning token count matches billed API thinking tokens 1:1 for most of the prompts we queried. pic.twitter.com/S7wN8aP3X7 — Alexander Panfilov (@kotekjedi_ml) August 11, 2026

Was die öffentlichen Protokolle enthielten

Um den realen Schaden zu demonstrieren, extrahierte das Team 6.708 öffentlich geteilte KI-Agenten-Transkripte – automatisierte Sitzungsprotokolle, die Entwickler routinemäßig zur Zusammenarbeit oder zum Debugging auf GitHub und Hugging Face veröffentlichen – und entschlüsselte daraus 315.320 Reasoning-Blöcke.

„Entwickler teilen ihre Sitzungsprotokolle und verschlüsselten Denkspuren häufig öffentlich online, sich dessen völlig unbewusst, dass in den verschlüsselten Blöcken sensible Daten verborgen sind“, heißt es in dem Paper. Die meisten dieser Geheimnisse erschienen nie in der sichtbaren KI-Ausgabe; sie existierten ausschließlich innerhalb der verschlüsselten Argumentation, unsichtbar für jeden, der den Angriff nicht ausgeführt hatte. Da sich das sensible Material in verschlüsselten Blöcken und nicht im Klartext befand, hatten die automatisierten Secret-Scanning-Dienste, die Plattformen wie GitHub über öffentliche Repositorys laufen lassen, keine Möglichkeit, es zu erkennen – die Standardschutzmechanismen, die offengelegte API-Schlüssel kennzeichnen, können nicht in verschlüsselte Argumentation hineinschauen.

Die Schwachstelle eröffnet über den einfachen Diebstahl von Zugangsdaten hinaus vier Angriffsvektoren:

• Das Stehlen proprietärer Argumentationsmuster von KI-Unternehmen, um konkurrierende Modelle per Destillation zu trainieren, bei der eine kleinere KI eine größere nachahmen lernt, indem sie deren Ausgaben studiert
• Das Extrahieren privater Daten aus geteilten Protokollen
• Das Ausführen unsichtbarer Prompt-Injections, bei denen böswillige Anweisungen in verschlüsselten Reasoning-Blöcken verborgen sind, die Sicherheitsüberwachungstools niemals zu sehen bekommen
• Das Jailbroken leistungsfähiger Modelle über ihre weniger geschützten Geschwistermodelle

Anthropic, OpenAI und Google haben alle serverseitigen Gegenmaßnahmen eingeführt, nachdem das Team die Verfahren der verantwortungsvollen Offenlegung befolgt hatte. Wie Decrypt bereits berichtete, steht Anthropic in diesem Jahr immer wieder im Fokus von Sicherheitsforschern, zumal seine neuesten Modelle im Reasoning-Prozess deutlich mehr Tokens verbrauchen.

Die Patches sind aktiv – aber die 6.708 Sitzungstranskripte mit entschlüsselten Reasoning-Blöcken, die bereits vom öffentlichen Web extrahiert wurden, verschwinden nicht. Für Entwickler, die Agenten-Transkripte veröffentlicht haben, besteht die Standardreaktion auf eine solche Offenlegung darin, verschlüsselte Denkblöcke aus geteilten Protokollen zu entfernen und alle Zugangsdaten zu rotieren, die durch diese Sitzungen gelaufen sind.